Dva aktívne tunely IPsec stále potrebujú plán spätnej cesty

Otvorte terminál na pracovnej stanici na jednom mieste a pripojte sa k serveru na druhom. Táto jediná konverzácia TCP teraz musí prejsť štyrmi bránami namiesto dvoch a zaujímavá časť nie je, či to funguje v dobrý deň. Zaujímavá časť je, ktorú dvojicu brán zvolil smer tam, ktorú dvojicu volí odpoveď a kto drží stav toku, kým sa to deje. Nič v smerovacej tabuľke to za vás nerozhodne.

Nakreslite štyri brány, skôr než nakreslíte trasu

Dvojaktívny návrh s dvoma nezávislými VPN firewallmi na lokalitu, jedna dvojica na poskytovateľa, vám dá dve použiteľné cesty a tri spôsoby, ako ich rozbiť. Zapíšte si adresy, skôr než čokoľvek nakonfigurujete: klienta tak, ako je vidieť pred každou bránou a za ňou, server rovnako, ďalší skok tam a ďalší skok späť.

Tá tabuľka je návrh. Všetko po nej je otázka, či zariadenia s tabuľkou súhlasia.

Ako sa vyberá cesta tam

Vrstva multipath smerovania s rovnakými nákladmi rozdeľuje toky medzi ďalšie skoky hašovaním polí hlavičky, čo RFC 2992 podrobne opisuje. Táto voľba môže byť úplne bezstavová: nepotrebuje záznam o sledovaní spojenia, len stabilný hash cez nezmenené polia. Udržujte množinu ciest a vstupy hashu konštantné a každý paket toku zvolí ten istý ďalší skok.

Voľba na tok zabraňuje preusporiadaniu, ktoré by spôsobilo vyvažovanie paket po pakete na odkazoch s rôznym oneskorením. Nesľubuje, že rovnaké náklady smerovania znamenajú rovnako merané oneskorenie, pretože neznamenajú. A keď sa zmení zloženie ciest, toky sa premapujú, takže prežitie spojenia počas výpadku je samostatná požiadavka od voľby cesty.

Čo spätná cesta skutočne potrebuje

Tu prechádzka prestáva byť symetrická. Stabilný hash tam vám nič nehovorí o tom, čo vzdialené miesto urobí s odpoveďou. Ak nezávislý firewall musí vidieť oba smery spojenia, aby udržal užitočný stav, spätná trasa, ktorá ho obchádza, necháva prevádzku, ktorá sa s ničím nezhoduje. Dve krabice s podobnými sadami pravidiel nie sú zdieľaný stav.

Potvrďte implementované obojsmerné správanie, alebo napíšte výslovnú politiku, ktorá udrží požadované hranice súdržné. Domnienka sa tu odhalí počas výpadku, ľuďmi, ktorých to nebaví.

Kde za vás rozhoduje preklad

NAT je druhá páka a je voliteľný, nie povinný. Preložené identity špecifické pre cestu môžu smerovať odpovede späť k bráne, ktorá drží stav, čo je legitímny návrh. Pridávajú však mapovania, spätné trasy a vlastníka tohto stavu, takže bremeno prijmite len pre požiadavku, ktorú viete vysloviť nahlas.

Ak je požiadavka jednoducho to, aby obe cesty prenášali prevádzku a ktorákoľvek prežila stratu poskytovateľa, zvyčajne je menším návrhom jednoduchý multipath na tok so súdržným spätným smerovaním.

Prejdite prevzatie poporiadku

Testujte v tomto poradí a zaznamenávajte adresy v každom kroku: nové spojenie na ceste A a jeho spätná cesta, to isté na ceste B, potom strata jedného poskytovateľa, potom obnovenie. Pri každom výsledku poznamenajte, ktoré zavedené toky sa pohli, ktoré sa museli znova pripojiť a kam nové toky potom išli. Najprv zapíšte očakávanú hodnotu, potom ju porovnajte so zachytením. Dva zavedené tunely nič z toho nedokazujú.

Návrh je hotový, keď tabuľka, ktorú ste napísali, zodpovedá tomu, čo ukazuje zachytenie, nie keď sú oba tunely hore.